Steam-Protokoll erlaubt Malware-Einschleusung

URL-Handler lässt sich als Einfallstor für Schadcode nutzen

Die Software-Vertriebsplattform Steam kann als Einfallstor für Malware missbraucht werden. Das haben die Sicherheitsforscher von Revuln herausgefunden, wie heise Security berichtet.

Log-Dateien manipulierbar

Steam registriert bei der Installation einen URL-Handler. Immer wenn beispielsweise im Browser eine Adresse mit dem Beginn "steam://" übergeben wird, leitet diese an die Steam-Anwendung weiter. Diese ruft je nach Befehl etwa eine Produktseite auf oder startet ein Programm aus der Bibliothek des Users.

Anscheinend lässt sich damit aber auch mehr anstellen. Da Steam die übermittelte Adresse nicht mehr überprüft und bestenfalls der Browser eine Warnung anzeigt, ist es unter anderem möglich, an Spiele auf Basis der Source Engine Kommandozeilen-Parameter zu übergeben. So lassen sich etwa Logdateien ändern und auf diesem Wege auch Batch-Dateien zu erstellen, die für weitere Operationen genutzt werden.

Schnittstelle Browser

Die von Valve selbst entwickelte Source Engine ist mit dieser Lücke aber nicht alleine. So lässt sich offenbar auch bei der populären Unreal Engine potenziell schädlicher Code übergeben und auch ausführen. Nun erforscht Revuln, ob sich die Warnungen des Browsers nicht eventuell unterbinden lassen oder man das eigentliche Vorhaben vor dem User verstecken kann.

Betroffen sind alle Plattformen, auf denen Steam existiert, abgesehen von der mobilen Ausgabe für Android - also Windows, Linux und MacOS. Für User der Apple-Rechner kommt erschwerend hinzu, dass Safari als einziger der bekannteren Browser die steam://-URLs vor der Übergabe nicht prüft. Firefox, der Internet Explorer und Chrome tun dies schon.

Lücken für den Meistbietenden

Steam ist mittlerweile die bedeutendste Plattform für den Vertrieb von Spielen und wird täglich von bis zu vier bis fünf Millionen Usern gleichzeitig genutzt. Mittlerweile führt man auch Software Abseits des Unterhaltungssegments.

Das Unternehmen Revuln stützt sich auf ein Geschäftsmodell, dass auf der Entdeckung von Exploitmöglichkeiten basiert. Informationen über entsprechende Funde werden an zahlende Kunden weitergereicht. (red, derStandard.at, 18.10.2012)